기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

스케줄러에서 ID 기반 정책 사용 EventBridge

기본적으로 사용자와 역할에는 Scheduler 리소스를 만들거나 수정할 EventBridge 권한이 없습니다. 또한 AWS Management Console, AWS Command Line Interface (AWS CLI) 또는 AWS API 를 사용하여 작업을 수행할 수도 없습니다. IAM관리자는 IAM 정책을 생성하여 필요한 리소스에서 작업을 수행할 수 있는 권한을 사용자에게 부여할 수 있습니다. 그러면 관리자가 역할에 IAM 정책을 추가할 수 있으며, 사용자는 역할을 수임할 수 있습니다.

이러한 예제 JSON 정책 문서를 사용하여 IAM ID 기반 정책을 만드는 방법을 알아보려면 사용 IAM설명서에서 IAM 정책 생성을 참조하십시오.

각 리소스 유형의 형식을 비롯하여 EventBridge Scheduler에서 정의한 작업 및 리소스 유형에 ARNs 대한 자세한 내용은 서비스 인증 참조의 Amazon EventBridge Scheduler용 작업, 리소스 및 조건 키를 참조하십시오.

정책 모범 사례

ID 기반 정책은 누군가가 사용자 계정에서 EventBridge Scheduler 리소스를 생성, 액세스 또는 삭제할 수 있는지 여부를 결정합니다. 이 작업으로 인해 AWS 계정에 비용이 발생할 수 있습니다. ID 기반 정책을 생성하거나 편집할 때는 다음 지침과 권장 사항을 따릅니다.

의 모범 사례에 IAM 대한 자세한 내용은 IAM사용 설명서의 보안 모범 사례를 참조하십시오. IAM

EventBridge 스케줄러 권한

IAM주도자 (사용자, 그룹 또는 역할) 가 EventBridge Scheduler에서 일정을 만들고 콘솔 또는 를 통해 EventBridge Scheduler 리소스에 액세스하려면 주도자의 권한 정책에 일련의 권한이 추가되어야 합니다. API 보안 주체의 직무에 따라 이러한 권한을 구성할 수 있습니다. 예를 들어 EventBridge Scheduler 콘솔을 사용하여 기존 일정 목록을 보는 데만 사용하는 사용자나 역할은 작업을 호출하는 데 필요한 권한이 없어도 됩니다. CreateSchedule API 권한이 가장 적은 액세스만 제공하도록 ID 기반 권한을 조정하는 것이 좋습니다.

다음 목록은 EventBridge Scheduler의 리소스와 해당하는 지원되는 작업을 보여줍니다.

EventBridge 스케줄러 권한을 사용하여 자체 고객 관리형 정책을 만들어 스케줄러와 함께 EventBridge 사용할 수 있습니다. 또한 다음 섹션에 설명된 AWS 관리형 정책을 사용하여 자체 정책을 관리할 필요 없이 일반적인 사용 사례에 필요한 권한을 부여할 수 있습니다.

AWS EventBridge 스케줄러의 관리형 정책

AWS AWS 생성 및 관리하는 독립형 IAM 정책을 제공하여 많은 일반적인 사용 사례를 해결합니다. 관리형 또는 미리 정의된 정책은 일반 사용 사례에 필요한 권한을 부여하므로 어떤 권한이 필요한지 조사할 필요가 없습니다. 자세한 내용은 IAM사용 설명서의AWS 관리형 정책을 참조하십시오. 계정의 사용자에게 연결할 수 있는 다음과 같은 AWS 관리형 정책은 EventBridge 스케줄러에만 해당됩니다.

AmazonEventBridgeSchedulerFullAccess

AmazonEventBridgeSchedulerFullAccess관리형 정책은 스케줄 및 스케줄 그룹에 대한 모든 EventBridge 스케줄러 작업을 사용할 수 있는 권한을 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "scheduler:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

AmazonEventBridgeSchedulerReadOnlyAccess

AmazonEventBridgeSchedulerReadOnlyAccess 관리형 정책은 일정 및 일정 그룹에 대한 세부 정보를 볼 수 있는 읽기 전용 권한을 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "scheduler:ListSchedules",
                "scheduler:ListScheduleGroups",
                "scheduler:GetSchedule",
                "scheduler:GetScheduleGroup",
                "scheduler:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

스케줄러에 대한 EventBridge 고객 관리형 정책

다음 예를 사용하여 EventBridge Scheduler에 대한 고유한 고객 관리형 정책을 만들 수 있습니다. 고객 관리형 정책을 사용하면 보안 주체의 직무에 따라 팀의 애플리케이션 및 사용자에게 필요한 작업 및 리소스에 대한 권한만 부여할 수 있습니다.

예제: CreateSchedule

새 일정을 생성할 때는 EventBridge Scheduler의 데이터를 암호화할지 아니면 고객 관리 키를 사용하여 암호화할지 선택합니다. AWS 소유 키

다음 정책은 보안 주체가 일정을 생성하고 AWS 소유 키를 사용하여 암호화를 적용할 수 있도록 허용합니다. 를 AWS 소유 키사용하면 AWS Key Management Service (AWS KMS) 에서 리소스를 AWS 관리하므로 상호 작용하는 데 추가 권한이 필요하지 않습니다. AWS KMS

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

다음 정책을 사용하여 보안 주체가 일정을 만들고 암호화에 AWS KMS 고객 관리 키를 사용하도록 허용하세요. 고객 관리 키를 사용하려면 보안 주체가 계정의 AWS KMS 리소스에 액세스할 수 있는 권한이 있어야 합니다. 이 정책은 EventBridge Scheduler의 데이터를 암호화하는 데 사용할 단일 지정 KMS 키에 대한 액세스 권한을 부여합니다. 또는 와일드카드(*) 문자를 사용하여 계정의 모든 키 또는 지정된 이름 패턴과 일치하는 하위 집합에 대한 액세스 권한을 부여할 수 있습니다.

{
    "Version": "2012-10-17"
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:CreateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Conditions": {
                "StringLike": {
                    "kms:ViaService": "scheduler.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

예제: GetSchedule

다음 정책을 사용하여 보안 주체가 일정에 대한 정보를 가져오도록 허용하십시오.

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:GetSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        }
    ]
}

예제: UpdateSchedule

다음 정책을 사용하여 보안 주체가 scheduler:UpdateSchedule 작업을 직접적으로 호출하여 일정을 업데이트하도록 허용하십시오. 마찬가지로 정책은 스케줄에서 암호화에 사용하는 키 AWS KMS AWS 소유 키 또는 고객 관리 키를 사용하는지 여부에 따라 달라집니다. CreateSchedule 로 구성된 일정의 AWS 소유 키경우 다음 정책을 사용하십시오.

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

고객 관리형 키로 구성된 일정의 경우 다음 정책을 사용하십시오. 이 정책에는 보안 주체가 계정의 AWS KMS 리소스에 액세스할 수 있는 추가 권한이 포함되어 있습니다.

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Action":
            [
                "scheduler:UpdateSchedule"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name
        },
        {
            "Action":
            [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource":
            [
                "arn:aws:kms:us-west-2:123456789012:key/my-key-id"
            ],
            "Conditions": {
                "StringLike": {
                    "kms:ViaService": "scheduler.amazonaws.com",
                    "kms:EncryptionContext:aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/my-schedule-name"
            }
        }
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

예제: DeleteScheduleGroup

다음 정책을 사용하여 보안 주체가 일정 그룹을 삭제하도록 허용하십시오. 그룹을 삭제하면 해당 그룹과 연결된 일정도 삭제됩니다. 그룹을 삭제하는 보안 주체는 해당 그룹과 연결된 일정도 삭제할 수 있는 권한이 있어야 합니다. 이 정책은 보안 주체에게 지정된 일정 그룹의 scheduler:DeleteScheduleGroup 작업과 그룹 내 모든 일정을 직접적으로 호출할 수 있는 권한을 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteSchedule",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group/*"
        },
        {
            "Effect": "Allow",
            "Action": "scheduler:DeleteScheduleGroup",
            "Resource": "arn:aws:scheduler:us-west-2:123456789012:schedule/my-group"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::123456789012:role/*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": "scheduler.amazonaws.com"
                }
            }
        }
    ]
}

AWS 관리형 정책 업데이트